+Critical and Important Functions

Critical and Important Functions

Identify, classify and adequately document all critical and important functions. This process involves determining which functions are essential for the entity's operational stability and continuity. Review as needed, and at least yearly, the adequacy of this classification.

1. Přehled

1.1 Odkazy

1.2 Identifikované požadavky

1.3 Související regulace

2. Identifikované požadavky

Požadavky

3. Související regulace

Regulace
EULAW Článek 6 1

1.   Finanční subjekty mají spolehlivý, ucelený a dobře zdokumentovaný rámec pro řízení rizika v oblasti IKT jako součást svého celkového systému řízení rizika, který jim umožňuje řešit toto riziko rychle, účinně a komplexně a zajistit vysokou míru digitální provozní odolnosti.
EULAW Článek 6 2

2.   Rámec pro řízení rizika v oblasti IKT obsahuje přinejmenším strategie, politiky, postupy, protokoly a nástroje IKT, jež jsou nezbytné pro řádnou a přiměřenou ochranu všech informačních aktiv a aktiv v oblasti IKT, včetně počítačového softwaru, hardwaru, serverů a rovněž všech relevantních fyzických součástí a infrastruktur, jako jsou místnosti, datová centra a citlivé určené prostory, aby byla zajištěna vhodná ochrana všech informačních aktiv a aktiv v oblasti IKT před riziky, včetně poškození a neoprávněného přístupu nebo použití.
EULAW Článek 6 3

3.   Finanční subjekty v souladu se svým rámcem pro řízení rizika v oblasti IKT minimalizují dopad rizika v oblasti IKT zaváděním vhodných strategií, politik, postupů, protokolů a nástrojů. Poskytují úplné a aktualizované informace o riziku v oblasti IKT a o svém rámci pro řízení rizika v oblasti IKT na žádost příslušných orgánů.
EULAW Článek 6 4

4.   Finanční subjekty, jiné než mikropodniky, pověří odpovědností za řízení a kontrolu rizika v oblasti IKT kontrolní funkci a zajistí odpovídající úroveň nezávislosti této kontrolní funkce, aby nedocházelo ke střetům zájmů. Finanční subjekty zajistí náležité oddělení a nezávislost vedoucích funkcí, kontrolních funkcí a interních auditních funkcí v oblasti rizika IKT podle modelu tří linií obrany nebo interního modelu řízení a kontroly rizika.
EULAW Článek 6 5

5.   Rámec pro řízení rizika v oblasti IKT se zdokumentuje a reviduje alespoň jednou ročně nebo pravidelně v případě mikropodniků a rovněž po výskytu závažného incidentu souvisejícího s IKT a na základě pokynů dohledu nebo závěrů vyvozených na základě příslušných testů či auditů digitální provozní odolnosti. Je průběžně zdokonalován na základě zkušeností z jeho provádění a sledování. Zpráva o přezkumu rámce pro řízení rizika v oblasti IKT se na žádost předkládá příslušnému orgánu.
EULAW Článek 6 7

7.   Na základě závěrů z interního auditu zavedou finanční subjekty formální následný postup, včetně pravidel pro včasné ověření a nápravu kritických zjištění auditu IKT.
EULAW Článek 6 9

9.   Finanční subjekty mohou v kontextu strategie digitální provozní odolnosti uvedené v odstavci 8 definovat ucelenou strategii více dodavatelů IKT, a to na úrovni skupiny nebo subjektu, v níž budou uvedeny klíčové závislosti na poskytovatelích služeb IKT z řad třetích stran a vysvětleny důvody kombinovaného využívání poskytovatelů služeb IKT z řad třetích stran.
EULAW Článek 6 10

10.   Finanční subjekty mohou v souladu s unijními a vnitrostátními odvětvovými právními předpisy externě zadat úkoly ověřování souladu s požadavky na řízení rizika v oblasti IKT podnikům uvnitř skupiny nebo externím podnikům. V případě takového externího zadání nese za ověřování souladu s požadavky na řízení rizika v oblasti IKT i nadále plnou odpovědnost finanční subjekt.
EULAW Článek 8 1

1.   Jako součást rámce pro řízení rizika v oblasti IKT uvedeného v čl. 6 odst. 1 finanční subjekty identifikují, klasifikují a náležitě zdokumentují veškeré obchodní funkce, úlohy a povinnosti podporované IKT, informační aktiva a aktiva v oblasti IKT podporující tyto funkce a jejich úlohy a závislosti ve vztahu k rizikům v oblasti IKT. Finanční subjekty podle potřeby a alespoň jednou ročně přezkoumají přiměřenost této klasifikace a veškeré příslušné dokumentace.
EULAW Článek 9 1

1.   Pro účely odpovídající ochrany systémů IKT a s ohledem na organizaci opatření reakce finanční subjekty nepřetržitě sledují a kontrolují bezpečnost a fungování systémů a nástrojů IKT a minimalizují dopad rizika v oblasti IKT na systémy IKT prostřednictvím zavedení vhodných nástrojů, politik a postupů v oblasti bezpečnosti IKT.
EULAW Článek 9 4

4.   Jako součást rámce pro řízení rizika v oblasti IKT uvedeného v čl. 6 odst. 1 finanční subjekty:

a)

vypracují a zdokumentují politiku zabezpečení informací vymezující pravidla na ochranu dostupnosti, hodnověrnosti, integrity a důvěrnosti údajů, informačních aktiv a aktiv v oblasti IKT, případně včetně uvedených aktiv jejich zákazníků;

b)

zavedou vhodné řízení sítí a infrastruktury na základě rizika využívající odpovídajících technik, metod a protokolů, které mohou zahrnovat zavedení automatizovaných mechanismů pro izolaci dotčených informačních aktiv v případě kybernetických útoků;

c)

uplatňují politiky omezující fyzický nebo logický přístup k informačním aktivům a aktivům v oblasti IKT na minimum nezbytné pro výkon oprávněných a schválených funkcí a činností a za tímto účelem vytvoří soubor politik, postupů a kontrol, který se zabývá přístupovými právy, a zajistí jejich řádnou správu;

d)

zavedou politiky a protokoly pro silné ověřovací mechanismy založené na příslušných normách a systémech speciálních kontrol a opatření na ochranu kryptografických klíčů, jimiž jsou zašifrována data, na základě výsledků schválené klasifikace dat a procesů posuzování rizika v oblasti IKT;

e)

zavedou zdokumentované politiky, postupy a kontroly pro řízení změn IKT, včetně změn softwarových, hardwarových a firmwarových komponentů, systémů nebo parametrů zabezpečení, vycházející z posouzení rizik a tvořící nedílnou součást celkových postupů finančního subjektu pro řízení změn, s cílem zajistit, aby všechny změny systémů IKT byly řízeně zaznamenány, otestovány, vyhodnoceny, schváleny, zavedeny a ověřeny;

f)

mají odpovídající a komplexní zdokumentované politiky pro dočasné opravy a aktualizace.

Pro účely prvního pododstavce písm. b) finanční subjekty navrhnou infrastrukturu připojení k síti umožňující jeho okamžité přerušení nebo segmentaci s cílem minimalizovat šíření krize a zabránit jejímu vzniku, zejména u vzájemně propojených finančních procesů.

Pro účely prvního pododstavce písm. e) jsou postupy řízení změn v oblasti IKT schvalovány příslušnými liniemi vedení a platí pro ně specifické protokoly.
EULAW Článek 11 1

1.   Jako součást rámce pro řízení rizika v oblasti IKT uvedeného v čl. 6 odst. 1 a na základě požadavků na identifikaci uvedených v článku 8 finanční subjekty zavedou ucelenou politiku zachování provozu IKT, která může být přijata jako specifická politika tvořící nedílnou součást celkové politiky zachování provozu finančního subjektu.
EULAW Článek 11 3

3.   Jako součást rámce pro řízení rizika v oblasti IKT uvedeného v čl. 6 odst. 1 finanční subjekty uplatňují související plány reakce a obnovy v oblasti IKT, které u finančních subjektů, jiných než mikropodniky, podléhají nezávislému internímu auditu.
EULAW Článek 11 6

6.   V rámci svého komplexního řízení rizika v oblasti IKT finanční subjekty:

a)

alespoň jednou ročně testují plány zachování provozu IKT a plány reakce a obnovy v oblasti IKT v souvislosti se systémy IKT podporujícími všechny funkce, jakož i v případě jakýchkoli podstatných změn systémů IKT podporujících zásadní nebo důležité funkce;

b)

testují plány krizové komunikace zavedené podle článku 14.

Pro účely prvního pododstavce písm. a) finanční subjekty, jiné než mikropodniky, zahrnou do plánů testování scénáře kybernetických útoků a přechodu z primární infrastruktury IKT na rezervní kapacitu, záložní a rezervní zařízení nutná ke splnění povinností stanovených v článku 12.

Finanční subjekty pravidelně přezkoumávají svoji politiku zachování provozu IKT a plány reakce a obnovy v oblasti IKT, přičemž zohlední výsledky testů provedených v souladu s prvním pododstavcem a doporučeními vyplývajícími z auditních kontrol nebo přezkumů provedených orgány dohledu.
EULAW Článek 12 1

1.   Pro účely zajištění obnovy systémů IKT a dat s minimální odstávkou, omezenými výpadky fungování a ztrátami finanční subjekty jako součást svého rámce pro řízení rizika v oblasti IKT vypracují a zdokumentují:

a)

politiky a postupy zálohování uvádějící rozsah dat, která se zálohují, a minimální frekvenci zálohování, a to na základě významu informací nebo úrovně důvěrnosti dat;

b)

postupy a metody obnovy.
EULAW Článek 12 2

2.   Finanční subjekty zřídí záložní systémy, které lze aktivovat v souladu s politikami a postupy zálohování, jakož i postupy a metodami obnovy provozu. Aktivace záložních systémů nesmí ohrozit bezpečnost sítí a informačních systémů ani dostupnost, hodnověrnost, integritu nebo důvěrnost údajů. Pravidelně se provádí testování postupů zálohování a postupů a metod obnovy.
EULAW Článek 12 3

3.   Při obnově zálohových dat pomocí vlastních systémů finanční subjekty použijí systémy IKT, které jsou fyzicky a logicky odděleny od zdrojového systému IKT. Systémy IKT jsou bezpečně chráněny před jakýmkoli neoprávněným přístupem nebo poškozením IKT a podle potřeby umožňují včasnou obnovu služeb s využitím datových a systémových záloh.

V případě ústředních protistran plány obnovy umožňují obnovit všechny obchody k okamžiku přerušení, aby ústřední protistrana mohla nadále s jistotou fungovat a dokončit vypořádání ve stanovený den.

Poskytovatelé služeb hlášení údajů navíc udržují přiměřené zdroje a mají k dispozici záložní zařízení a zařízení k obnově provozu, aby mohly kdykoli nabízet a udržovat své služby.
EULAW Článek 13 3

3.   Poučení vyvozená z testování digitální provozní odolnosti provedeného v souladu s články 26 a 27 a ze skutečných incidentů souvisejících s IKT, zejména kybernetických útoků, a dále z problémů v souvislosti s aktivací plánů zachování provozu IKT a plánů reakce a obnovy v oblasti IKT a relevantních informací vyměňovaných s protistranami a vyhodnocovaných během přezkumů orgány dohledu se náležitě a průběžně začleňují do postupu posuzování rizika v oblasti IKT. Tato zjištění tvoří základ pro odpovídající přezkumy příslušných složek rámce pro řízení rizik v oblasti IKT uvedeného v čl. 6 odst. 1.
EULAW Článek 13 5

5.   Vedoucí pracovníci odpovídající za IKT minimálně jednou ročně hlásí vedoucímu orgánu zjištění podle odstavce 3 a předloží doporučení.
EULAW Článek 13 7

7.   Finanční subjekty, jiné než mikropodniky, průběžně sledují relevantní technologický vývoj, mimo jiné s cílem pochopit možný dopad zavádění nových technologií na požadavky na bezpečnost IKT a digitální provozní odolnost. Drží krok s nejnovějšími postupy řízení rizika v oblasti IKT, aby účinně bojovaly se stávajícími či novými formami kybernetických útoků.
EULAW Článek 14 2

2.   Jako součást rámce pro řízení rizika v oblasti IKT finanční subjekty uplatňují komunikační strategie pro interní zaměstnance a externí zainteresované strany. Komunikační politiky pro zaměstnance zohledňují nutnost rozlišovat mezi pracovníky podílejícími se na řízení rizika v oblasti IKT, zejména pracovníky odpovědnými za reakci a obnovu, a pracovníky, které je nutné informovat.
EULAW Článek 24 1

1.   Pro účely posuzování připravenosti na řešení incidentů souvisejících s IKT, identifikace slabých míst, vad a nedostatků v digitální provozní odolnosti a rychlého zavedení nápravných opatření finanční subjekty jiné než mikropodniky při zohlednění kritérií vymezených v čl. 4 odst. 2 vytvoří, udržují a aktualizují spolehlivý a ucelený program testování digitální provozní odolnosti jakožto nedílnou součást rámce pro řízení rizika v oblasti IKT uvedeného v článku 6.
EULAW Článek 28 2

2.   Jakožto součást svého rámce pro řízení rizika v oblasti IKT finanční subjekty, jiné než subjekty uvedené v čl. 16 odst. 1 prvním pododstavci a jiné než mikropodniky, přijmou a pravidelně přezkoumávají strategii pro riziko v oblasti IKT spojené s třetími stranami, přičemž případně zohlední strategii více dodavatelů uvedenou v čl. 6 odst. 9. Strategie pro riziko v oblasti IKT spojené s třetími stranami obsahuje zásady využívání služeb IKT podporujících zásadní nebo důležité funkce poskytovaných poskytovateli služeb IKT z řad třetích stran a uplatňuje se na individuálním a případně subkonsolidovaném či konsolidovaném základě. Vedoucí orgán na základě posouzení celkového rizikového profilu finančního subjektu a rozsahu a složitosti obchodních služeb pravidelně přezkoumává rizika identifikovaná v souvislosti se smluvními ujednáními o využívání služeb IKT podporujících zásadní nebo důležité funkce.
EULAW Článek 28 3

3.   Jakožto součást svého rámce pro řízení rizika v oblasti IKT finanční subjekty na úrovni subjektu a na subkonsolidované a konsolidované úrovni vedou a aktualizují registr informací s ohledem na všechna smluvní ujednání o využívání služeb IKT poskytovaných poskytovateli služeb IKT z řad třetích stran.

Smluvní ujednání uvedená v prvním pododstavci se řádně zdokumentují, přičemž se rozlišuje mezi těmi, která se týkají služeb IKT podporujících zásadní nebo důležité funkce a těmi, která se jich netýkají.

Finanční subjekty alespoň jednou ročně nahlásí příslušným orgánům počet nových ujednání o využívání služeb IKT, kategorie poskytovatelů služeb IKT z řad třetích stran, druh smluvních ujednání a poskytované služby a funkce IKT.

Finanční subjekt zpřístupní příslušnému orgánu na jeho žádost úplný registr informací, nebo jeho konkrétní části, dle příslušného požadavku, a rovněž jakékoli informace považované za nezbytné k účinnému dohledu nad finančním subjektem.

Finanční subjekty včas informují příslušný orgán o jakémkoli plánovaném smluvním ujednání o využívání služeb IKT podporujících zásadní nebo důležité funkce, jakož i v případě, že se některá funkce stane zásadní nebo důležitou.
EULAW Článek 1 Celkový rizikový profil a složitost

Článek 1

Celkový rizikový profil a složitost

Při vypracovávání a provádění politik, postupů, protokolů a nástrojů v oblasti bezpečnosti IKT uvedených v hlavě II a zjednodušeného rámce pro řízení rizika v oblasti IKT uvedeného v hlavě III se zohlední velikost a celkový rizikový profil finančního subjektu a povaha, rozsah a prvky zvýšené nebo snížené složitosti jeho služeb, činností a operací, včetně prvků týkajících se:

a) 

šifrování a kryptografie;

b) 

bezpečnosti operací IKT;

c) 

bezpečnosti sítí;

d) 

řízení projektů a změn v oblasti IKT;

e) 

potenciálního dopadu rizika v oblasti IKT na důvěrnost, integritu a dostupnost údajů a potenciálního dopadu narušení na zachování provozu a dostupnosti činností finančního subjektu.
EULAW Článek 2 1.

Finanční subjekty zajistí, aby do jejich rámce pro řízení rizika v oblasti IKT byly začleněny jejich politiky v oblasti bezpečnosti IKT, bezpečnosti informací a související postupy, protokoly a nástroje uvedené v čl. 9 odst. 2 nařízení (EU) 2022/2554. Finanční subjekty zavedou politiky, postupy, protokoly a nástroje v oblasti bezpečnosti IKT stanovené v této kapitole, které:

a) 

zajistí bezpečnost sítí;

b) 

obsahují ochranná opatření proti vniknutí a zneužití údajů;

c) 

zachovají dostupnost, hodnověrnost, integritu a důvěrnost údajů, a to i prostřednictvím kryptografických technik;

d) 

zaručí přesný a rychlý přenos dat bez vážných narušení a zbytečných prodlev.
EULAW Článek 2 2.

Finanční subjekty zajistí, aby politiky v oblasti bezpečnosti IKT uvedené v odstavci 1:

a) 

byly v souladu s cíli finančního subjektu v oblasti bezpečnosti informací, které jsou zahrnuty do strategie digitální provozní odolnosti uvedené v čl. 6 odst. 8 nařízení (EU) 2022/2554;

b) 

uváděly datum formálního schválení politik v oblasti bezpečnosti IKT vedoucím orgánem;

c) 

obsahovaly ukazatele a opatření:

i) 

ke sledování provádění politik, postupů, protokolů a nástrojů v oblasti bezpečnosti IKT;

ii) 

k zaznamenání výjimek z tohoto provádění;

iii) 

k zaručení toho, aby v případě výjimek uvedených v bodě ii) byla zajištěna digitální provozní odolnost finančního subjektu;

d) 

specifikovaly povinnosti zaměstnanců na všech úrovních při zajišťování bezpečnosti IKT finančního subjektu;

e) 

specifikovaly důsledky nedodržování politik v oblasti bezpečnosti IKT zaměstnanci finančního subjektu, pokud tato ustanovení nejsou stanovena v jiných politikách finančního subjektu;

f) 

uváděly seznam dokumentace, která má být vedena;

g) 

specifikovaly opatření pro oddělení úkolů v kontextu modelu tří linií obrany nebo jiného interního modelu řízení a kontroly rizika, aby se předešlo střetu zájmů;

h) 

braly v potaz osvědčené postupy a případně normy vymezené v čl. 2 bodě 1 nařízení (EU) č. 1025/2012;

i) 

určily úlohy a odpovědnost za vývoj, provádění a udržování politik, postupů, protokolů a nástrojů v oblasti bezpečnosti IKT;

j) 

byly přezkoumávány podle čl. 6 odst. 5 nařízení (EU) 2022/2554;

k) 

zohledňovaly podstatné změny týkající se finančního subjektu, včetně podstatných změn činností nebo procesů finančního subjektu, prostředí kybernetických hrozeb nebo platných právních povinností.
EULAW Článek 3 Řízení rizika v oblasti IKT

Článek 3

Řízení rizika v oblasti IKT

Finanční subjekty vypracují, zdokumentují a zavedou politiky a postupy pro řízení rizika v oblasti IKT, které obsahují všechny následující prvky:

a) 

údaj o schválení přípustné odchylky rizika v oblasti IKT stanovené v souladu s čl. 6 odst. 8 písm. b) nařízení (EU) 2022/2554;

b) 

postup a metodika pro provádění posouzení rizika v oblasti IKT, přičemž se určí:

i) 

zranitelnosti a hrozby, které ovlivňují nebo mohou ovlivnit podporované obchodní funkce, systémy IKT a aktiva v oblasti IKT podporující tyto funkce;

ii) 

kvantitativní nebo kvalitativní ukazatele pro měření dopadu a pravděpodobnosti zranitelností a hrozeb uvedených v bodě i);

c) 

postup pro určení, zavedení a zdokumentování opatření k řešení rizik v oblasti IKT pro zjištěná a posouzená rizika v oblasti IKT, včetně stanovení opatření k řešení rizik v oblasti IKT nezbytných k tomu, aby se riziko v oblasti IKT dostalo do rozmezí přípustné odchylky rizika uvedené v písmenu a);

d) 

pro zbytková rizika v oblasti IKT, která po provedení opatření k řešení rizik v oblasti IKT uvedených v písmenu c) stále existují:

i) 

ustanovení o identifikaci těchto zbytkových rizik v oblasti IKT;

ii) 

přidělení úloh a povinností týkajících se:

1) 

přijetí zbytkových rizik v oblasti IKT, která přesahují přípustnou odchylku rizika finančního subjektu uvedenou v písmenu a),

2) 

procesu přezkumu uvedeného v tomto písm. d) bodě iv);

iii) 

vypracování soupisu přijatých zbytkových rizik v oblasti IKT, včetně odůvodnění jejich přijetí;

iv) 

ustanovení o přezkumu přijatých zbytkových rizik v oblasti IKT alespoň jednou ročně, včetně:

1) 

identifikace jakýchkoli změn zbytkových rizik v oblasti IKT,

2) 

posouzení dostupných zmírňujících opatření,

3) 

posouzení, zda důvody pro přijetí zbytkových rizik v oblasti IKT jsou ke dni přezkumu stále platné a použitelné;

e) 

ustanovení o sledování:

i) 

veškerých změn rizik v oblasti IKT a prostředí kybernetických hrozeb;

ii) 

vnitřních a vnějších zranitelností a hrozeb;

iii) 

rizika finančního subjektu v oblasti IKT, které umožňuje rychlou detekci změn, jež by mohly ovlivnit jeho rizikový profil v oblasti IKT;

f) 

ustanovení ohledně procesu, který zajistí, aby byly zohledněny veškeré změny obchodní strategie a strategie digitální provozní odolnosti finančního subjektu.

Pro účely prvního pododstavce písm. c) se postupem podle uvedeného písmene zajistí:

a) 

sledování účinnosti zavedených opatření k řešení rizik v oblasti IKT;

b) 

posouzení, zda bylo dosaženo stanovených úrovní přípustné odchylky rizika finančního subjektu;

c) 

posouzení, zda finanční subjekt v případě potřeby přijal opatření k nápravě nebo zlepšení těchto opatření.
EULAW Článek 8 1.
V rámci politik, postupů, protokolů a nástrojů v oblasti bezpečnosti IKT uvedených v čl. 9 odst. 2 nařízení (EU) 2022/2554 finanční subjekty vypracují, zdokumentují a zavedou politiky a postupy pro řízení operací IKT. Tyto politiky a postupy stanoví, jak finanční subjekty provozují, monitorují, kontrolují a obnovují svá aktiva v oblasti IKT, včetně dokumentace operací IKT.
EULAW Článek 8 2.

Politiky a postupy pro operace IKT uvedené v odstavci 1 obsahují všechny tyto prvky:

a) 

popis aktiv v oblasti IKT, včetně všech následujících údajů:

i) 

požadavky na bezpečnou instalaci, údržbu, konfiguraci a deinstalaci systému IKT;

ii) 

požadavky týkající se správy informačních aktiv využívaných aktivy v oblasti IKT, včetně jejich zpracování a jejich používání, a to jak automatizovaného, tak manuálního;

iii) 

požadavky týkající se identifikace a kontroly původních systémů IKT;

b) 

kontroly a monitorování systémů IKT, včetně všech následujících položek:

i) 

požadavky na zálohování a obnovu systémů IKT;

ii) 

požadavky na časové plánování s ohledem na vzájemné závislosti mezi systémy IKT;

iii) 

protokoly pro auditní stopu a informace systémového protokolu;

iv) 

požadavky na zajištění toho, aby provádění interního auditu a dalších testů co nejméně narušovalo obchodní činnost;

v) 

požadavky na oddělení produkčních prostředí IKT od vývojových, testovacích a jiných neprodukčních prostředí;

vi) 

požadavky na provádění vývoje a testování v prostředích, která jsou oddělena od produkčního prostředí;

vii) 

požadavky na provádění vývoje a testování v produkčním prostředí;

c) 

řešení chyb systémů IKT, včetně všech následujících položek:

i) 

postupy a protokoly pro řešení chyb;

ii) 

kontakty pro účely podpory a eskalace, včetně kontaktů na externí podporu v případě neočekávaných provozních nebo technických problémů;

iii) 

postupy pro restartování, zpětné obnovení („rollback“) a obnovu systému IKT, které se použijí v případě narušení systému IKT.

Pro účely písm. b) bodu v) se oddělení týká všech složek prostředí, včetně účtů, dat nebo spojení, jak požaduje čl. 13 první podostavec písm. a).

Pro účely písmene b) bodu vii) musí politiky a postupy uvedené v odstavci 1 stanovit, že případy, kdy je testování prováděno v produkčním prostředí, jsou jasně stanoveny, odůvodněny, jsou časově omezené a jsou schváleny příslušnou funkcí v souladu s čl. 16 odst. 6. Během vývojových a testovacích činností v produkčním prostředí finanční subjekty zajistí dostupnost, důvěrnost, integritu a hodnověrnost systémů IKT a produkčních dat.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.